meu contratante está sujeito à NIS2 e eu não, o que isso significa para mim

É por via do contrato que o afeta, não por via da lei

O senhor não está abrangido pela NIS2, mas isso não significa que nada mude. O seu cliente que está abrangido pela diretiva deve garantir por si próprio, sob o artigo 21.º, n.º 2, da Diretiva (UE) 2022/2555, a segurança em toda a cadeia. Isso o obriga a impor requisitos aos seus fornecedores — portanto a si. Não porque o senhor é uma entidade no sentido da lei, mas porque o seu cliente deve demonstrar a sua própria responsabilidade, e o senhor faz parte disso.

Na prática, o senhor verá isso como um questionário ou como condições contratuais adicionais, não como uma obrigação legal que o atinja diretamente. As perguntas geralmente incidem sobre as mesmas dez medidas que o seu cliente deve tomar: política de risco, tratamento de incidentes, continuidade, gestão de vulnerabilidades, acesso e criptografia. O senhor pode portanto utilizar a mesma justificação que já possui, mesmo que nunca tenha sido obrigado a elaborá-la para si próprio. Se ainda não dispõe desses documentos de forma completa, recomenda-se verificar primeiro se existe política para análise de risco e segurança de sistemas de informação e se requisitos de segurança para fornecedoras próprias já estão documentados em algum lugar — porque estes dois tópicos aparecem em quase todos os questionários de cadeia, independentemente de o senhor ser ou não uma entidade.

Consagrado no artigo 21.º, com aplicação por via do contrato

A obrigação de segurança da cadeia consta do artigo 21.º, n.º 2, alínea d), da Diretiva (UE) 2022/2555: as entidades devem tomar medidas para a segurança da cadeia de abastecimento, incluindo a relação com os seus fornecedores diretos. A transposição holandesa faz-se pela Lei de Cibersegurança, que entra em vigor em 15 de agosto de 2026. Enquanto o senhor não estiver abrangido pelo âmbito dessa lei, a aplicação a si permanece contratual: o seu cliente determina por si como apresenta o seu requisito a si, e isso pode variar por cliente.